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Beschreibung 




Verfahran zur Anmeldung eines mobilen Endgerates an ,einem Zu- 



gangspunkt eines lokalen Kommunikationsnetzwerkes sowie Zu- 
5 gangspunkt und Endgerat zur Durchfiihrung des Verfahrens 

Die Erfindung betrifft ein Verfahren zur Anmeldung eines mo- 
bilen Endgerates an einem Zugangspunkt eines lokalen Kommuni- 
kationsnetzwerkes gemafi Anspruch 1, einem Zugangspunkt zur 
10 Durchftihrung des Verfahrens gemafi Anspruch 8 sowie ein Endge- 
rat zur Durchftihrung des Verfahrens gemafi Anspruch 9. 

Die Verschmelzung von Informations- und Kommunikationsnetzen 
hat dazu geftihrt, dass Datentibertragungsnetze, wie Lokale 

15 Netzwerke LANs, zunehmend mit drahtlosen Zugangspunkt en, so- 
genannten Access Points ausgestattet werden, die es erlauben, 
neue Netzteilnehmer, auch als Netzknoten bezeichnet, drahtlos 
an das LAN zu binden. Diese Entwicklung geht sogar soweit, 
dass zum Teil solche Netze ttberwiegend bzw. vollstandig 

20 drahtlos Daten austauschen.' 

Solcherlei Netze bieten auch Raum ftir unberechtigte Zugriffe 
auf Daten innerhalb des Netzes, so dass hierftir vielerlei An- . 
satze zur Gewahrung der Sicherheit entwickelt wurden, 

25 

Einer der Ansatze ist die BeschrSnkung des Datenaustausches 
innerhalb des Netzes auf bekannte Netzknoten, wobei ein neuer 
Netzknoten dadurch dem Netz bekannt gemacht wird, dass er bei 
einem erstmaligen Anmelden, der Erstanmeldung, Authentif izie- 
30 rungsdaten, zumeist Schltissel zur Verschliisselung von Daten 
bei der tfbertragung, mit dem jeweiligen Zugangspunkt aus- 



tauscht . 



35 



Ein Nachteil ergibt sich, wenn dieser Austausch drahtlos er- 
folgt. In diesem Fall kann ein moglicher Angreifer die Au- 
thentif izierungsdaten abfangen, urn sich ftir einen unerlaubten 
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Zugriff als bekanntes Endgerat auszugeben bzw. verschltisselte 
Daten mittels der Schlttssel zu entschlttsseln. 

Die der Erfindung zugrundeliegende Aufgabe ist, ein Verfahren 
5 und eine Anordmmg anzugeben, die es erlaubt, unberechtigte 
Zugriffe auf ein lokales Kommunikationsnetz mit drahtlosen 
Zugangspunkten weitestgehend zu verhindern. 

Diese Aufgabe wird durch das Verfahren ausgehend vom Oberbe- 
10 griff des Anspruchs 1 durch dessen kennzeichnende Merkmale 
gelost. Des Weiteren wird die Aufgabe durch den Zugangspunkt 
ausgehend vom Oberbegriff des Anspruchs 8 durch dessen kenn- 
zeichnende Merkmale sowie durch das Endgerat ausgehend vom 
Anspruch 9 durch dessen kennzeichnende Merkmale gelost. 

15 

Bei dem erf indungsgemafien Verfahren zur Erstanmeldung eines, 
insbesondere mobilen, Endgerates an einem Zugangspunkt eines 
lokalen Komraunikationsnetzwerkes nach Anspruch 1 wird eine 
erste Sendeleistung einer ersten Funks ende-/Funkempf angs- 
20 einrichtung des Zugangspunktes nach Detektieren des Endgera- 
tes derart reduziert, dass ein Sende-/Empf angsvorgang nur in 
einem Nahfeld des Zugangspunktes erfolgen kann. 

Durch das einseitige Senken der ersten Sendeleistung der ers- 
25 ten Funks ende-/Funkempf angseinrichtung des Zugangspunktes, so 
dass ein Empfang nur im Nahfeld des Zugangspunktes moglich 
ist, wird erreicht, dass Gelegenheiten fur ein Mithoren mit- 
tels eines anderen nicht als zum lokalen Kommunikationsnetz 
gehorenden Endgerates (Lauscher) zumindest deutlich reduziert 
30 wird, Vor allem- wird vermieden, dass ein Lauscher bei der 

Erstanmeldung ublicherweise ubertragene sicherheitsrelevante 
Daten, wie z.B. Authentif izierungsschltissel, auswerten kann, 
da sich ein Lauscher im Allgemeinen nicht im Nahfeld eines 
Zugangspunktes aufhalt und fUr eine Auswertung sowohl die Da- 
35 ten vom Zugangspunkt als auch die Daten von dem sich zum ers- 
ten Mai anmeldenden Endgerat benotigt werden. Ein weiterer 
Vorteil ist, dass fur die Umsetzung dieser Abwehr von Lausch- 
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angriffen Endgerate nicht verandert werden mtissen, beispiels- 
weise kann die Abwehr auch dann gewahrleistet werden, wenn 
die Endgerate nicht in der Lage sind, ihre Sende lei stung zu 
ver^ndern . 

5 

Vorteilhafterweise wird bei einer moglichen Weiterbildung der 
Erfindung nach Detektieren durch den Zugangspunkt eine an das 
Endgerat gerichtete Signalisierung durchgefOhrt, welches das 
Endgerat veranlasst, eine zweite Sendeleistung einer zweiten 

10 Funksende-/Funkempfangseinrichtung zu senken, wobei die zwei- 
te Sendeleistung derart reduziert wird, dass ein Sende-/Emp- 
fangsvorgang nur in einem Nahfeld des Endgerates erfolgen 
kann und wobei die Signalisierung vor dem Reduzieren der ers- 
ten Sendeleistung erfolgt. Hierdurch wird erreicht, dass we- 

15 der die vom Zugangspunkt gesendeten Daten noch die von dem 

Endgerat im Rahmen des Anmeldevor gangs zu sendenden Daten von 
einem sich auflerhalb des Nahfeldes aufhaltenden Lauscher ab- 
gefangen werden konnen, so dass ein Auswerten der ausge- 
tauschten .Daten ganzlich verhindert wird. 

20 

Vorzugsweise erfolgt die Signalisierung durch Ubermittlung 
einer ersten Nachricht, die far die Angabe eines durch den 
Zugangspunkt ermittelten empfangenen ersten Signalpegels, 
insbesondere eines "Received Signal Strength Indicator" RSSI, 

25 Wertes vorgesehen ist, wobei anstelle des vorgesehenen ersten 
Signalpegels ein zweiter, insbesondere einen hoheren Wert 
aufweisender, Signalpegel angegeben wird. Der Vorteil dieser 
Weiterbildung ist durch die hierdurch mSgliche einfachere 
Implementierung in bereits bestehende Systeme, die zumindest 

30 teilweise eine Obertragung Ober Funk nutzen, gegeben, da im 
Wesentlichen jeder Funkkommunikations standard das Versenden 
einer derartigen Nachricht als Rtickkopplungs information far 
die Quelle des jeweiligen Signals reserviert. Mit dieser Wei- 
terbildung ist es daher moglich, dass Endgerate ohne Anderun- 

35 gen das erf indungsgemaUe Verfahren unterstatzen kSnnen. Le- 
diglich die Zugangspunkte massen derart ausgestaltet sein, 
dass sie diese gemaB Funkkommunikationsstandards reservierte 
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Nachricht fur einen anderen Zweck nutzen, d.h. unabhangig von 
der Hohe des tatsachlich empfangenen Signalpegels einen der- 
art hohen empfangenen Signalpegel zu signalisieren, dass das 
Endgerat (Quelle) seine Sendeleistung auf ein Mafi reduziert, 
5 dass ein Datenempfang nur in einem Nahfeld des Endgerates 
moglich ist. 

Enth&lt die Signalisierung eine zweite Nachricht, die das 
Endgerat zur Ausgabe eines Hinweises an den Nutzer des Endge- 

10 rates dahingehend auffordert, das Endgerat in das Nahfeld des 
Zugangspunktes zu bringen, wird vermieden, dass ein Datenaus- 
tausch zur Umsetzung der Erstanmeldung des Endgerates dadurch 
ungewollt unterbrochen wird, dass ein Nutzer des Endgerates 
keine Kenntnis darilber hat, dass er sich mit dem Endgerat zur 

15 Erstanmeldung im Nahfeld des Zugangspunktes aufhalten muss. 

Urn sicherzustellen, dass die zweite Nachricht den gewttnschten 
Effekt - das Inkenntnissetzen des Nutzer - erzielt, wird die 
zweite Nachricht bei einer Weiterbildung nach Ablauf einer 
20 vorbestimmten Zeitspanne erneut gesendet, wobei zur Sicher- 
stellung, dass diese Nachricht vom Endgerat empfangen werden 
kann, zumindest voriibergehend die erste Sendeleistung auf ei- 
nen zum Zeitpunkt der Detektion bestehenden Pegel erhoht 
wird. 

25 

Vorstellbar ist es auch, dass das erneute Senden periodisch 
jeweils nach Ablauf der vorbestimmten Zeitspanne wiederholt 
wird, so dass mit einer hoheren Wahrscheinlichkeit ausge- 
schlossen werden kann, dass der Nutzer die Nachricht nicht 
30 zur Kenntnis genommen hat. 

Funktioniert die erste und zweite Funks ende-/Funkempf angs- 
einrichtung gemafi. einem Kurzstreckenfunkstandard, so wird die 
bei diesem Standard ohnehin schon kurze Ubertragungsdistanz 
35 noch verringert, so dass ein Lauscher gesehen wird, wenn er 
• versucht, sich ins durch die erste und zweite Funksende- 

/Funkempfangsrichtung funkversorgte Nahfeld zu begeben. Zudem 
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weisen Funks ende-/Funkempf angseinrichtungen neuerer Entwick- 
lungsgenerationen, insbesondere nach dem Bluetooth-Standard 
funktionierende Funksende-/Funkempf angseinrichtungen, Chip- 
satze auf, die eine Variation der Sendeleistung in einem End- 
5 gerat erlauben. 

Der erf indungsgemaiie Zugangspunkt gemaii Anspruch 8 sowie das 
erf indungsgemaiie Endgerat gemafl Anspruch 9 zeichnen sich 
durch Mittel zur Durchftihrung des Verfahrens aus, so dass 
10 das erf indungsgemaiie Verfahren in den entsprechenden Gerat en 
Unterstiitzung findet. 

Weitere Einzelheiten-und Vorteile der Erfindung werden in den 
Figuren 1 bis 2 erlautert. Davon zeigen 

15 

Figur 1 Darstellung eines Anordnungsszenarios, bei dem 

ein Versuch eines Lauschangrif f s moglich ware, 

Figur 2 ein Ablauf diagramm des erf indungsgemaJien Ver- 

20 fahrens bei einem Einsatz in einer Anordnung 

gemaii dem Szenario. 

In Figur 1 ist beispielhaft eine Anordnung gezeigt, die er- 
f indungsgem&fi einen Versuch eines Lauschangrif fs durch ein 

25 zum Lauschen verwendetes Endgerat LA abwehrt, wobei dies da- 
durch erreicht wird, dass sich ein einem lokalen Netzwerk LAN 
noch nicht bekanntes Endgerat, welches bei dem dargestellten 
AusfUhrungsbeispiel gemaii dem Bluetooth-Standard funktio- 
niert, in einem ersten Funkversorgungsbereich Nl eines Zu- 

30 gangspunktes (Access Point) AP des lokalen Netzwerks LAN be- 
findet. 

Dieser erste Funkversorgungsbereich Nl wird von einer ersten 
Funksende-/Funkempfangseinrichtung TRX1 bereitgestellt, wobei 
35 eine erste Sendeleistung der ersten Funks ende-/Funkempf angs- 
einrichtung TRX1 einen von einem ersten Mikroprozessor jiPl 
geregelten Wert aufweist, der die Reichweite des ersten Funk- 
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versorgungsbereiches Nl auf ein Nahfeld des Access Points AP 
begrenzt, d.h. einen Radius aufweist, der im Allgemeinen we- 
nige Dezimeter, alternativ auch bis zu einem Meter, betragt. 

5 Neben dem ersten Funkversorgungsbereich Nl, ist bei diesem 
Ausftihrungsbe'ispiel auch der zweite Funkversorgungsbereich N2 
eines neu anzumeldenden Endgerates PC auf ein Nahfeld im All- 
gemeinen gleicher Reichweite wie der Reichweite. des ersten 
Funkversorgungsbereiches N2 begrenzt. Dies wird durch Rege- 
10 lung einer zweiten Sendeleistung einer zweiten Funksende- 
/Funkempfangseinrichtung TRX2 des Endgerates PC durch einen 
zweiten Mikroprozessor ]iP2 (Bluetooth-Chipsat z) erreicht. 

Innerhalb des zweiten Funkversorgungsbereiches N2 befindet 
15 sich der Access Point AP, so dass eine Datenubertragung in 
beiden Richtungen problemlos moglich ist, wobei der Versuch 
eines Lauschangrif fes durch ein anderes nicht gemeldetes End- 
gerat LA verhindert bzw. zumindest erschwert wird, dass es 
sich nicht innerhalb beider kOnstlich begrenzter Funkversor- 
20 gungsbereiche Nl, N2 befindet, 

Eine Erstanmeldung, die gemafl Bluetooth Standard als "Pairing 
Prozess" bezeichnet wird, ist besonders kritisch, da sich bei 
diesem Prozess ein Bluetooth-Endger&t durch Obertragung von 
25 Schlusseln einmalig bei einem Netz authentif iziert und damit 
fortan als bekanntes vertrauenswurdiges Endgerat "trusted de- 
vice" gespeichert wird, so dass ein Abfangen dieser Informa- 
tion (Schlussel) einem Lauscher die Moglichkeit flir weitere 
unberechtigte Zugriffe auf das Netz ermCglichen wtirde. 

30 

Die in Figur 1 gezeigte Anordnung wehrt derartige Angriffe 
durch das Ausfiihrungsbeispiel des erf indungsgem&flen Verfah- 
rens, dessen Ablaufdiagramm in Figur 2 dargestellt ist, ab. 

35 Das in der Figur 2 dargestellte Ablaufdiagramm zeigt die im 
Rahmen des erf indungsgem&iJen Verfahrens durchzufiihrenden 
Schritte in dem oben beschriebenen Szenario. 
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Das Verfahren beginnt im Allgemeinen damit, dass durch den 
Access Point AP ein unbekanntes Endgerat PC detektiert wird 
und sich der Access Point AP somit in einem ersten Schritt SI 
im Zustand "Unbekanntes Bluetooth Endgerat" befindet. 

Ausgehend von diesem ersten Schritt SI wird anschlieiiend dem 
Bl'uetooth-Endgerat PC in einem folgenden zweiten Schritt S2 
im Allgemeinen ein kiinstlich uberhohter empfangener Signalpe- 
gel signalisiert (RSSI-Wert) . Kiinstlich iiberhoht bedeutet 
hierbei, dass im Allgemeinen nicht der tatsachlich ermittelte 
Signalpegelwert signalisiert wird, sondern erf indungsgemafl 
ein derart hoher Wert, dass das Endgerat PC seine Sendeleis- 
tung auf ein Niveau senkt, welches zu einem zweiten Funkver- 
sorgungsbereich N2 des Endgerates PC ftihrt, der auf ein Nah- 
feld begrenzt ist. 

Wird das Verfahren in einem Funksystem eingesetzt, welches 
Endgerate aufweist, die keine Regelung der Sendeleistung un- 
terstiitzen, kann der zweite Schritt S2 ausbleiben. Alternativ 
ist es auch denkbar, dass der zweite Schritt S2 bewusst 
durchgefiihrt wird, selbst wenn es sich um ein Endgerat PC 
handeln wtirde, das keine Regelung unterstiitzt. In diesem Fall 
wird der Abhorschutz allein dadurch gewahrleistet, dass der 
Zugangspunkt AP in einem dritten Schritt S3 seine Sendeleis- 
tung auf einen Wert reduziert, der den ersten Funkversor- 
gungsbereich Nl auf ein Nahfeld begrenzt. 

Unterstiitzt dagegen das Endgerat PC eine Regelung der Sende- 
leistung - wie fur dieses Ausfiihrungsbeispiel angenommen - so 
wird sowohl durch das Reduzieren der Sendeleistung des Zu- X 
gangspunktes AP im dritten Schritt S3 als auch durch Reduzie- 
ren der Sendeleistung des Endgerates PC in einem vierten 
Schritt S4 die Abwehr eines m5glichen Lauschers LA gewahr- 
leistet . 
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Im Anschluss hieran erfolgt in einem funften Schritt S5 ein 
Uberprufen, ob sich das Endgerat PC in Reichweite der ersten 
Funksende-/Funkempfangsvorrichtung TRX1 des Access Points AP 
befindet, wobei dies beispielsweise dadurch realisiert wird, 
5 , dass keine Antwort seitens des Endgerates PC an den Zugangs- 
punkt ubermittelt wird. 

Dieser fUnfte Schritt S5 wird in einer Schleife solange wie- 
derholt, d.h, Anfragen an das Endgerat PC gesendet, bis eine 
10 Antwort empfangen wird, so dass klar ist, dass das Endgerat 
sich im Nahfeld des Zugangspunktes befindet. 

Urn dies zu beschleunigen bzw. zu unterstiitzen, kann alterna- 
tiv bzw. erganzend mit der Signalisierung im zweiten Schritt 
15 auch eine Nachricht Ubermittelt werden, die das Endgerat PC 
veranlasst, seinem Nutzer einen Hinweis darauf zu geben, dass 
er sich mit dem Endgerat fiir diesen Pairing Prozess in das 
Nahfeld des Zugangspunktes AP begeben muss. 

20 Alternativ kann in Verbindung mit dem funften Schritt diese 
Aufforderung erstmalig erfolgen und/oder nach jedem negativen 
Detektionsergebnis periodisch wiederholt werden, um dem Nut- 
zer eine Ruckkopplung darttber zu geben, dass er evtl. noch 
nicht nahe genug am Zugangspunkt AP ist. 

25 

Ergibt das Detektieren im ftinften Schritt S5, dass sich das 
Endgerat PC im Nahfeld des Access Points AP befindet, wie in 
Figur 1 dargestellt, so kann in einem sechsten Schritt S6 mit 
dem eigentlichen Pairing Prozess begonnen werden und das er- 
30 f indungsgem^Be Verfahren beendet werden. 
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Patentansprttche 

1. Verfahren zur Erstanmeldung eines, insbesondere mobilen, 
Endgerates (PC) an eiriem Zugangspunkt (AP) eines lokalen 

5 Kommunikationsnetzwerkes (LAN) , dadurch gekennzeich- 

net, dass eine erste Sende lei stung einer ersten Funksen- 
de-/Funkempfangseinrichtung (TRX1) des Zugangspunktes 
(AP) nach Detektieren (SI) des Endgerates (PC) derart re- 
duziert wird (S3), dass ein Sende-/Empf angsvorgang nur in 
10 einem Nahfeld des Zugangspunktes (AP) erfolgen kann. 

2. Verfahren nach Anspruch 1, dadurch ge kenn z e i chne t , 
dass nach Detektieren durch den Zugangspunkt eine an das 
Endgerat (PC) gerichtete Signalisierung durchgeftihrt 

15 wird, welches das Endgerat (PC) veranlasst, eine zweite 

Sendeleistung einer zweiten Funks ende-/Funkempf angsein- 
richtung (TRX2) zu senken (S2), wobei die zweite Sende- 
leistung derart reduziert wird, dass ein Sende-/Empf angs- 
vorgang nur in einem Nahfeld des Endgerates (PC) erfolgen 

20 kann und wobei die Signalisierung vor dem Reduzieren der 

ersten Sendeleistung erfolgt. 

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet , 
dass die Signalisierung durch Ubermittlung einer ersten 

25 Nachricht, ' die fttr die Angabe eines durch den Zugangs- 

punkt (AP) ermittelten empf angenen ersten Signalpegels, 
insbesondere eines "Receivied Signal Strength Indicator" 
RSSI, Wertes vorgesehen ist (S2), erfolgt, wobei anstelle 
des vorgesehenen ersten Signalpegels ein zweiter, insbe- 

30 sondere einen hoheren Wert aufweisender, Signalpegel an- 

gegeben wird. 

4. Verfahren nach einem der vorhergehenden Ansprttche, da- 
durch gekennzeichnet, dass die Signalisierung (S2) 

35 eine zweite Nachricht enthalt, die das Endgerat (PC) zur 

Ausgabe eines Hinweises an den Nutzer des Endgerates (PC) 
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dahingehend auffordert, das Endgerat (PC) in das Nahfeld 
des Zugangspunktes (AP) zu bringen. 

5. Verfahren nach Anspruch 4, dadurch ge kennzeichnet , 
5 dass die Nachricht nach Ablauf einer vorbestimmten Zeit- 

spanne erneut gesendet wird, wobei hierzu zumindest vor- 
.ubergehend die erste Sendeleistung auf einen zum Zeit- 
punkt der Detektion bestehenden Pegel erhoht wird.. 

10 6. Verfahren nach Anspruch 5, dadurch gekennzeichnet , 
dass das erneute Senden periodisch jeweils nach Ablauf 
der vorbestimmten Zeit spanne wiederholt wird (S5) . 

7. Verfahren nach einem der vorhergehenden Ansprttche, da- 
15 durch gekennzeichnet, dass die erste und zweite 

Funksende-/Funkempfangseinrichtung (TRX1, TRX2) gemafi ei- 
nem Kurzstreckenfunkstandard, insbesondere nach dem Blue- 
tooth-Standard, funktioniert . 

20 8. Zugangspunkt (AP) , insbesondere nach einem der vorherge- 
henden AnsprUche 1 bis 6, gekennzeichnet durch Mit- 
tel (pPl, TRX1) zur Durchfiihrung des Verfahrens. 

9, Endgerat (PC), insbesondere nach einem der Ansprttche 1 
25 bis 6, gekennzeichnet durch Mittel (jiP2, TRX2) zur 

Durchfiihrung des Verfahrens. 
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